위협 인텔리전스

공격 기법 섹션에 나온 기법들 뒤에 누가 있는지 다룹니다. 각 행위자 페이지는 세 가지 질문에 답합니다: 누구인가(귀속, 별칭, 임무), 무엇을 했는가(공개된 주요 사건), 어떻게 하는가 — ATT&CK에 매핑하고 이 사이트의 기법 페이지로 연결한 TTP입니다. 그래서 "이 그룹은 X를 쓴다"에서 "X는 내 로그에서 이렇게 보인다"로 바로 넘어갈 수 있습니다.

공개 자료만 사용

여기 있는 내용은 모두 정부의 공개 권고문, MITRE ATT&CK, 보안 업체 보고서에서 가져왔습니다. 귀속과 별칭 매핑은 업체의 평가이고 그룹들은 서로 겹칩니다 — 이름은 정확한 조직도가 아니라 활동 묶음(클러스터)에 붙인 라벨로 받아들이세요.

페이지	내용
북한(DPRK) — 그룹과 사건	정찰총국(RGB)과 연결된 클러스터(Lazarus, APT38/BlueNoroff, TraderTraitor, Andariel, Kimsuky, APT37, IT 인력), 별칭 표, 2014 → 2025년 주요 탈취 사건과 공격
북한 — TTP와 헌팅	단계별 공격 방식(가짜 채용 담당자, 트로이 목마가 심긴 패키지, 공급망, 클라우드 피벗, macOS), ATT&CK 매핑, Splunk/Zeek 헌팅

방어자로서 위협 인텔리전스 페이지를 읽는 법

1. 악성코드 이름은 넘기고, 행위를 기억하세요. 악성코드는 몇 달마다 이름이 바뀌지만, "개발자가 코딩 테스트 저장소를 실행했더니 Node.js가 셸을 띄웠다"는 몇 년이 지나도 그대로입니다.
2. 모든 행위를 내가 볼 수 있는 기법에 매핑하세요. 어떤 행위에 대해 로그 소스를 가리킬 수 없다면 그것이 가시성 공백입니다 — 적어 두세요.
3. 상위 세 가지 행위를 헌팅으로 바꾸세요. 퍼플팀 루프를 사용합니다: 랩에서 재현 → 아티팩트 찾기 → 쿼리 작성 → 문서화.